点击图片查看原图
ISO27001 认证的流程
准备阶段
- 了解标准要求：企业首先需要深入了解 ISO27001 标准的各项要求，包括信息安全管理体系的基本概念、目标、原则以及实施步骤等。可以通过参加培训课程、阅读相关标准文档和参考资料等方式，确保对标准的理解准确无误。
- 建立 ISMS 团队：成立一个专门的信息安全管理体系推行小组，负责体系的建立和实施工作。团队成员应包括企业各部门的代表，具备信息安全、风险管理、业务流程等方面的专业知识和经验，以确保体系能够充分考虑企业的实际业务需求和特点。
- 制定实施计划：根据企业的实际情况，制定详细的 ISO27001 认证实施计划，明确各项工作的时间节点、责任人以及预期目标。实施计划应包括风险评估、体系文件编制、内部审核、管理评审等各个阶段的工作安排，确保认证工作有条不紊地进行。
风险评估阶段
- 信息资产识别：对企业的信息资产进行全面梳理和识别，包括硬件设备、软件系统、数据、文档、人员等。对每一项信息资产进行分类和赋值，确定其重要性和敏感性。
- 威胁和脆弱性分析：识别可能对信息资产造成威胁的各种因素，如网络攻击、自然灾害、人为失误等，并分析信息资产存在的脆弱性，即容易受到威胁攻击的弱点。通过威胁和脆弱性分析，评估信息安全风险发生的可能性和影响程度。
- 风险评估与评价：采用科学的风险评估方法，对识别出的风险进行评估和评价，确定风险等级。根据风险等级，制定相应的风险处理策略，如风险规避、风险降低、风险转移或风险接受等。
体系建立与实施阶段
- 制定信息安全方针和目标：根据企业的战略目标和信息安全需求，制定明确的信息安全方针，阐述企业对信息安全的总体承诺和方向。同时，设定具体、可衡量、可实现、相关联、有时限（SMART）的信息安全目标，为信息安全管理工作提供明确的指导和依据。
- 选择和实施控制措施：根据风险评估结果，从 ISO27001 标准附录 A 中选择适合企业的安全控制措施，并结合企业实际情况进行定制化实施。控制措施应涵盖人员、物理、技术和组织等各个方面，如人员安全意识培训、物理访问控制、网络安全防护、信息安全管理制度建设等。
- 编制信息安全管理体系文件：建立一套完整的信息安全管理体系文件，包括管理手册、程序文件、作业指导书和记录表格等。文件应详细描述信息安全管理体系的各项要求和流程，确保企业的信息安全管理工作有章可循、有据可依。
- 体系运行与监控：按照信息安全管理体系文件的要求，在企业内部全面推行信息安全管理体系，并对体系的运行情况进行持续监控和记录。及时发现和解决体系运行过程中出现的问题，确保体系的有效运行。
内部审计阶段
- 制定内部审计计划：定期制定内部审计计划，明确审计的范围、内容、方法和时间安排。内部审计应由独立于被审计部门的人员进行，以确保审计的客观性和公正性。
- 实施内部审计：按照内部审计计划，对信息安全管理体系的各个方面进行全面审查，包括体系文件的符合性、控制措施的执行有效性、风险评估的合理性等。通过文件审查、现场检查、人员访谈等方式，收集审计证据，发现不符合项。
- 编制内部审计报告：根据审计结果，编制内部审计报告，对发现的不符合项进行详细描述，并提出整改建议和要求。内部审计报告应提交给企业管理层，作为改进信息安全管理体系的重要依据。
- 跟踪整改情况：对内部审计发现的不符合项，督促相关责任部门制定整改计划，并跟踪整改情况，确保不符合项得到及时、有效的整改。整改完成后，对整改效果进行验证，形成闭环管理。
管理评审阶段
- 收集管理评审输入：企业高层管理者定期组织管理评审会议，收集与信息安全管理体系相关的各种输入信息，包括内部审计结果、风险评估报告、信息安全事件处理情况、法律法规变化、业务需求变更等。
- 进行管理评审：在管理评审会议上，对收集到的输入信息进行全面分析和讨论，评估信息安全管理体系的适宜性、充分性和有效性。审查信息安全方针和目标是否达成，体系文件是否需要修订，控制措施是否需要调整等。
- 制定管理评审输出：根据管理评审结果，制定管理评审输出，包括改进措施、资源需求、下一年度的信息安全目标和工作计划等。管理评审输出应明确责任人和时间节点，确保各项改进措施得到有效落实。
认证审核阶段
- 选择认证机构：企业选择一家经过认可的、具有 ISO27001 认证资质的认证机构。在选择认证机构时，应考虑认证机构的声誉、专业性、经验以及服务范围等因素，确保认证机构能够提供高质量的认证服务。
- 提交认证申请：向选定的认证机构提交 ISO27001 认证申请书，申请书应包括企业的基本信息、信息安全管理体系的概述、认证范围等内容。同时，按照认证机构的要求，提供与 ISMS 相关的文件和记录，以供认证机构进行审查。
- 文件审核：认证机构对企业提交的信息安全管理体系文件进行审核，检查文件是否符合 ISO27001 标准的要求，是否覆盖了企业的认证范围，文件之间的一致性和协调性是否良好等。如果文件审核发现问题，企业需要根据认证机构的反馈意见进行修改和完善。
- 现场审核：文件审核通过后，认证机构派遣审核员对企业进行现场审核。现场审核的目的是检查企业的实际运作是否符合信息安全管理体系文件的要求，以及是否达到了 ISO27001 标准的规定。审核员将通过现场观察、文件查阅、人员访谈、记录审查等方式，对企业的信息安全控制措施、风险评估和应对机制、内部审计和管理评审等方面的情况进行全面评估，并收集相关证据以支持其审核结论。
- 不符合项整改：针对现场审核中发现的不符合项，企业需要制定整改计划并按时完成整改。整改计划应包括不符合项的详细描述、整改措施、整改期限以及责任人等内容。企业在规定的时间内完成整改后，向认证机构提交整改情况的报告，认证机构将对整改结果进行验证。
- 获得认证证书：如果企业的信息安全管理体系符合 ISO27001 标准的要求，并且已经完成了所有不符合项的整改工作，认证机构将向企业颁发 ISO27001 认证证书。证书的有效期通常为三年，但企业需要在证书有效期内定期进行内部审核和管理评审，以保持 ISMS 的有效性，并接受认证机构的监督审核。
持续监督与改进阶段
- 持续监督审核：在证书有效期内，认证机构会定期对企业进行监督审核，通常每年进行一次。监督审核的目的是检查企业在获得认证后，信息安全管理体系是否持续符合 ISO27001 标准的要求，是否得到有效运行和维护。监督审核的内容和方法与初次认证审核类似，但范围可能会有所缩小。如果监督审核发现企业存在严重不符合项，认证机构可能会暂停或撤销企业的认证证书。
- 持续改进：ISO27001 认证强调持续改进的理念，企业应将信息安全管理体系的持续改进作为一项长期的工作来抓。通过定期的内部审核、管理评审以及对信息安全事件的分析总结，不断发现信息安全管理体系中存在的问题和不足，及时采取纠正和预防措施，对体系进行优化和改进，以适应不断变化的信息安全环境和企业业务需求。同时，关注信息安全领域的新技术、新方法和新法规，及时将其融入到信息安全管理体系中，保持体系的先进性和有效性。